Microsoft Entra Connect Sync: Memahami konfigurasi default
Artikel ini menjelaskan aturan konfigurasi di luar kotak. Ini mendokumentasikan aturan dan bagaimana aturan ini berdampak pada konfigurasi. Ini juga memandikan Anda melalui konfigurasi default Microsoft Entra Koneksi Sync. Tujuannya adalah bahwa pembaca memahami bagaimana model konfigurasi, bernama provisi deklaratif, bekerja dalam contoh dunia nyata. Artikel ini mengasumsikan bahwa Anda telah menginstal dan mengonfigurasi sinkronisasi Microsoft Entra Koneksi menggunakan wizard penginstalan.
Untuk memahami detail model konfigurasi, baca Memahami Penyediaan Deklaratif.
Aturan di luar kotak dari lokal ke ID Microsoft Entra
Ekspresi berikut dapat ditemukan dalam konfigurasi di luar kotak.
Aturan di luar kotak pengguna
Aturan ini juga berlaku untuk jenis objek iNetOrgPerson.
Objek pengguna harus memenuhi hal berikut ini untuk disinkronkan:
- Harus memiliki sourceAnchor.
- Setelah objek dibuat di ID Microsoft Entra, maka sourceAnchor tidak dapat berubah. Jika nilai diubah secara lokal, objek berhenti disinkronkan hingga sourceAnchor diubah kembali ke nilai sebelumnya.
- Harus memiliki atribut accountEnabled (userAccountControl) yang diisi. Dengan Direktori Aktif lokal, atribut ini selalu ada dan diisi.
Objek pengguna berikut ini tidak disinkronkan ke ID Microsoft Entra:
IsPresent([isCriticalSystemObject]). Pastikan banyak objek di luar kotak di Direktori Aktif, seperti akun administrator bawaan, tidak disinkronkan.IsPresent([sAMAccountName]) = False. Pastikan objek pengguna tanpa atribut sAMAccountName tidak disinkronkan. Kasus ini hanya akan praktis terjadi di domain yang ditingkatkan dari NT4.Left([sAMAccountName], 4) = "AAD_", .Left([sAMAccountName], 5) = "MSOL_"Jangan sinkronkan akun layanan yang digunakan oleh Microsoft Entra Koneksi Sync dan versi sebelumnya.- Jangan sinkronkan akun Exchange yang tidak akan berfungsi di Exchange Online.
[sAMAccountName] = "SUPPORT_388945a0"Left([mailNickname], 14) = "SystemMailbox{"(Left([mailNickname], 4) = "CAS_" && (InStr([mailNickname], "}") > 0))(Left([sAMAccountName], 4) = "CAS_" && (InStr([sAMAccountName], "}")> 0))
- Jangan sinkronkan objek yang tidak akan berfungsi di Exchange Online.
CBool(IIF(IsPresent([msExchRecipientTypeDetails]),BitAnd([msExchRecipientTypeDetails],&H21C07000) > 0,NULL))
Bitmask ini (&H21C07000) akan memfilter objek berikut:- Folder Publik yang diaktifkan email (Dalam Pratinjau per versi 1.1.524.0)
- Kotak Surat Penjawab Sistem
- Kotak Surat Database Kotak Surat (Kotak Surat Sistem)
- Grup Keamanan Universal (tidak akan berlaku untuk pengguna, tetapi ada karena alasan warisan)
- Grup Non-Universal (tidak akan berlaku untuk pengguna, tetapi ada karena alasan warisan)
- Paket Kotak Surat
- Kotak Surat Penemuan
CBool(InStr(DNComponent(CRef([dn]),1),"\\0ACNF:")>0). Jangan sinkronkan objek korban replikasi.
Aturan atribut berikut ini berlaku:
sourceAnchor <- IIF([msExchRecipientTypeDetails]=2,NULL,..). Atribut sourceAnchor tidak dikontribusikan dari kotak surat yang ditautkan. Diasumsikan bahwa jika kotak surat yang ditautkan telah ditemukan, akun aktual akan bergabung nanti.- Atribut terkait Exchange hanya disinkronkan jika atribut mailNickName memiliki nilai.
- Ketika ada beberapa forest, atribut dikonsumsi dalam urutan berikut:
- Atribut yang terkait dengan masuk (misalnya userPrincipalName) dikontribusikan dari forest dengan akun yang diaktifkan.
- Atribut yang dapat ditemukan di Exchange GAL (Global Address List) dikontribusikan dari forest dengan Kotak Surat Exchange.
- Jika tidak ada kotak surat yang dapat ditemukan, maka atribut ini dapat berasal dari forest mana pun.
- Atribut terkait Exchange (atribut teknis yang tidak terlihat di GAL) dikontribusikan dari forest tempat
mailNickname ISNOTNULL. - Jika ada beberapa forest yang akan memenuhi salah satu aturan ini, maka urutan pembuatan (tanggal/waktu) Konektor (forest) digunakan untuk menentukan forest mana yang berkontribusi atribut. Forest pertama yang terhubung akan menjadi forest pertama yang disinkronkan.
Aturan di luar kotak kontak
Objek kontak harus memenuhi hal berikut ini agar disinkronkan:
- Harus memiliki nilai atribut email.
- Kontak harus diaktifkan melalui email. Ini diverifikasi dengan aturan berikut:
IsPresent([proxyAddresses]) = True). Atribut proxyAddresses harus diisi.- Alamat email utama dapat ditemukan di atribut proxyAddresses atau atribut email. Adanya @ digunakan untuk memverifikasi bahwa konten tersebut adalah alamat email. Salah satu dari dua aturan ini harus dievaluasi ke True.
(Contains([proxyAddresses], "SMTP:") > 0) && (InStr(Item([proxyAddresses], Contains([proxyAddresses], "SMTP:")), "@") > 0)). Apakah ada entri dengan "SMTP:" dan jika ada, @ dapat ditemukan dalam string?(IsPresent([mail]) = True && (InStr([mail], "@") > 0). Apakah atribut email diisi dan jika iya, apakah @ dapat ditemukan dalam string?
Objek kontak berikut ini tidak disinkronkan ke ID Microsoft Entra:
IsPresent([isCriticalSystemObject]). Pastikan tidak ada objek kontak yang ditandai sebagai penting yang disinkronkan. Seharusnya tidak ada dengan konfigurasi default.((InStr([displayName], "(MSOL)") > 0) && (CBool([msExchHideFromAddressLists]))).(Left([mailNickname], 4) = "CAS_" && (InStr([mailNickname], "}") > 0)). Objek ini tidak akan berfungsi di Exchange Online.CBool(InStr(DNComponent(CRef([dn]),1),"\\0ACNF:")>0). Jangan sinkronkan objek korban replikasi.
Aturan di luar kotak grup
Objek grup harus memenuhi hal berikut ini agar disinkronkan:
- Harus memiliki kurang dari 250.000 anggota. Hitungan ini adalah jumlah anggota dalam grup lokal.
- Jika memiliki lebih banyak anggota sebelum sinkronisasi dimulai pertama kali, grup tidak disinkronkan.
- Jika jumlah anggota bertambah dari ketika awalnya dibuat, maka ketika mencapai 250.000 anggota, anggota berhenti menyinkronkan sampai jumlah keanggotaan lebih rendah dari 250.000 lagi.
- Catatan: Jumlah keanggotaan 250.000 juga diberlakukan oleh ID Microsoft Entra. Anda tidak dapat menyinkronkan grup dengan lebih banyak anggota meskipun Anda mengubah atau menghapus aturan ini.
- Jika grup adalah Grup Distribusi, maka grup juga harus diaktifkan email. Lihat Aturan di luar kotak kontak untuk aturan ini diberlakukan.
Objek grup berikut ini tidak disinkronkan ke ID Microsoft Entra:
IsPresent([isCriticalSystemObject]). Pastikan banyak objek di luar kotak di Direktori Aktif, seperti grup administrator bawaan, tidak disinkronkan.[sAMAccountName] = "MSOL_AD_Sync_RichCoexistence". Grup warisan yang digunakan oleh DirSync.BitAnd([msExchRecipientTypeDetails],&H40000000). Grup Peran.CBool(InStr(DNComponent(CRef([dn]),1),"\\0ACNF:")>0). Jangan sinkronkan objek korban replikasi.
Aturan di luar kotak ForeignSecurityPrincipal
FSP bergabung ke objek (") "apa pun" dalam metaverse. Pada kenyataannya, gabungan ini hanya terjadi untuk pengguna dan grup keamanan. Konfigurasi ini memastikan bahwa keanggotaan lintas forest diselesaikan dan diwakili dengan benar dalam ID Microsoft Entra.
Aturan di luar kotak komputer
Objek komputer harus memenuhi hal berikut ini agar disinkronkan:
userCertificate ISNOTNULL. Hanya komputer Windows 10 yang mengisi atribut ini. Semua objek komputer dengan nilai dalam atribut ini disinkronkan.
Memahami skenario aturan di luar kotak
Dalam contoh ini, kita menggunakan penyebaran dengan satu forest akun (A), satu forest sumber daya (R), dan satu direktori Microsoft Entra.
Dalam konfigurasi ini, diasumsikan ada akun yang diaktifkan di forest akun dan akun yang dinonaktifkan di forest sumber daya dengan kotak surat yang ditautkan.
Tujuan kami dengan konfigurasi default adalah:
- Atribut yang terkait dengan masuk disinkronkan dari forest dengan akun yang diaktifkan.
- Atribut yang dapat ditemukan di GAL (Daftar Alamat Global) disinkronkan dari forest dengan kotak surat. Jika tidak ada kotak surat yang dapat ditemukan, forest lain akan digunakan.
- Jika kotak surat tertaut ditemukan, akun yang diaktifkan tertaut harus ditemukan agar objek dapat diekspor ke ID Microsoft Entra.
Editor Aturan Sinkronisasi
Konfigurasi dapat dilihat dan diubah dengan alat Editor Aturan Sinkronisasi (SRE) dan pintasan ke sana dapat ditemukan di menu mulai.
SRE adalah alat kit sumber daya dan diinstal dengan Microsoft Entra Koneksi Sync. Agar dapat memulainya, Anda harus menjadi anggota grup ADSyncAdmins. Saat dimulai, Anda melihat sesuatu seperti ini:
Di panel ini, Anda akan melihat semua Aturan Sinkronisasi yang dibuat untuk konfigurasi Anda. Setiap baris dalam tabel adalah satu Aturan Sinkronisasi. Di sebelah kiri di bawah Jenis Aturan, dua tipe berbeda dicantumkan: Inbound dan Outbound. Inbound dan Outbound adalah dari tampilan metaverse. Anda terutama akan berfokus pada aturan masuk dalam gambaran umum ini. Daftar sebenarnya dari Aturan Sinkronisasi bergantung pada skema yang terdeteksi dalam AD. Pada gambar di atas, forest akun (fabrikamonline.com) tidak memiliki layanan apa pun, seperti Exchange dan Lync, dan tidak ada Aturan Sinkronisasi yang dibuat untuk layanan ini. Namun, di forest sumber daya (res.fabrikamonline.com) Anda menemukan Aturan Sinkronisasi untuk layanan ini. Konten aturan berbeda bergantung pada versi yang terdeteksi. Misalnya, dalam penyebaran dengan Exchange 2013 ada lebih banyak alur atribut yang dikonfigurasi daripada di Exchange 2010/2007.
Aturan Sinkronisasi
Aturan Sinkronisasi adalah objek konfigurasi dengan sekumpulan atribut yang mengalir begitu kondisi terpenuhi. Ini juga digunakan untuk menggambarkan bagaimana objek dalam ruang konektor dikaitkan dengan objek dalam metaverse, yang dikenal sebagai gabungan atau pencocokan. Aturan Sinkronisasi memiliki nilai prioritas yang menunjukkan bagaimana mereka berhubungan satu sama lain. Aturan Sinkronisasi dengan nilai numerik yang lebih rendah memiliki prioritas yang lebih tinggi dan dalam konflik alur atribut, prioritas yang lebih tinggi memenangkan resolusi konflik.
Sebagai contoh, lihat Aturan Sinkronisasi Masuk dari AD - AccountEnabled Pengguna. Tandai baris ini di SRE dan pilih Edit.
Karena aturan ini adalah aturan di luar kotak, Anda menerima peringatan saat membuka aturan. Anda tidak boleh membuat perubahan pada aturan di luar kotak, jadi Anda ditanya apa niat Anda. Dalam hal ini, Anda hanya ingin melihat aturan. Pilih Tidak.
Aturan Sinkronisasi memiliki empat bagian konfigurasi: Deskripsi, Filter cakupan, Aturan gabungan, dan Transformasi.
Deskripsi
Bagian pertama menyediakan informasi dasar seperti nama dan deskripsi.
Anda juga menemukan informasi tentang sistem yang terhubung dengan aturan ini, tipe objek mana dalam sistem yang terhubung yang diterapkannya, dan tipe objek metaverse. Tipe objek metaverse selalu orang terlepas dari kapan tipe objek sumber adalah pengguna, iNetOrgPerson, atau kontak. Tipe objek metaverse tidak boleh berubah sehingga dibuat sebagai jenis generik. Jenis Tautan dapat diatur ke Gabungan, StickyJoin, atau Penyediaan. Pengaturan ini bekerja sama dengan bagian Aturan Gabungan dan dibahas nanti.
Anda juga dapat melihat bahwa aturan sinkronisasi ini digunakan untuk sinkronisasi kata sandi. Jika pengguna berada dalam lingkup untuk aturan sinkronisasi ini, kata sandi disinkronkan dari lokal ke cloud (dengan asumsi Anda telah mengaktifkan fitur sinkronisasi kata sandi).
Filter cakupan
Bagian Filter cakupan digunakan untuk mengonfigurasi kapan Aturan Sinkronisasi akan berlaku. Karena nama Aturan Sinkronisasi yang Anda lihat menunjukkan bahwa aturan hanya boleh diterapkan untuk pengguna yang diaktifkan, cakupan dikonfigurasi sehingga userAccountControl atribut tidak boleh memiliki set bit 2. Ketika mesin sinkronisasi menemukan pengguna di AD, mesin ini menerapkan aturan sinkronisasi ini saat userAccountControl diatur ke nilai desimal 512 (diaktifkan pengguna normal). Ini tidak menerapkan aturan ketika pengguna mengatur userAccountControl menjadi 514 (dinonaktifkan pengguna normal).
Filter cakupan memiliki Grup dan Klausa yang dapat ditumpuk. Semua klausa di dalam grup harus terpenuhi agar Aturan Sinkronisasi diterapkan. Ketika beberapa grup ditentukan, maka setidaknya satu grup harus terpenuhi agar aturan diterapkan. Artinya, OR logis dievaluasi antara grup dan AND logis dievaluasi di dalam grup. Contoh konfigurasi ini dapat ditemukan di Aturan Sinkronisasi keluar ke ID Microsoft Entra – Gabungan Grup. Ada beberapa grup filter sinkronisasi, misalnya satu untuk grup keamanan (securityEnabled EQUAL True) dan satu untuk grup distribusi (securityEnabled EQUAL False).
Aturan ini digunakan untuk menentukan Grup mana yang harus disediakan ke ID Microsoft Entra. Grup Distribusi harus memiliki email yang diaktifkan untuk disinkronkan dengan ID Microsoft Entra, tetapi untuk grup keamanan, email tidak diperlukan.
Aturan bergabung
Bagian ketiga digunakan untuk mengonfigurasi bagaimana objek di ruang konektor berhubungan dengan objek dalam metaverse. Aturan yang telah Anda lihat sebelumnya tidak memiliki konfigurasi untuk Aturan Gabungan, jadi sebaliknya Anda akan melihat Masuk dari AD - Gabungan Pengguna.
Konten aturan gabungan bergantung pada opsi pencocokan yang dipilih dalam wizard instalasi. Untuk aturan inbound, evaluasi dimulai dengan objek di ruang konektor sumber dan setiap grup dalam aturan gabungan dievaluasi secara berurutan. Jika objek sumber dievaluasi agar sesuai dengan satu objek dalam metaverse menggunakan salah satu aturan gabungan, objek akan digabungkan. Jika semua aturan telah dievaluasi dan tidak ada kecocokan, maka Jenis Tautan pada halaman deskripsi digunakan. Jika konfigurasi ini diatur ke Penyediaan, maka objek baru dibuat dalam target, metaverse, jika setidaknya satu atribut dalam kriteria gabungan ada (memiliki nilai). Untuk menyediakan objek baru pada metaverse juga dikenal untuk memproyeksikan objek ke metaverse.
Aturan bergabung hanya dievaluasi sekali. Ketika objek ruang konektor dan objek metaverse digabungkan, mereka tetap bergabung selama cakupan Aturan Sinkronisasi tetap terpenuhi.
Saat mengevaluasi Aturan Sinkronisasi, hanya satu Aturan Sinkronisasi dengan aturan gabungan yang ditentukan harus dalam cakupan. Jika beberapa Aturan Sinkronisasi dengan aturan gabungan ditemukan untuk satu objek, kesalahan akan muncul. Karena alasan ini, praktik terbaik adalah hanya memiliki satu Aturan Sinkronisasi dengan gabungan yang ditentukan ketika beberapa Aturan Sinkronisasi berada dalam cakupan untuk suatu objek. Dalam konfigurasi siap pakai untuk Microsoft Entra Koneksi Sync, aturan ini dapat ditemukan dengan melihat nama dan menemukan aturan dengan kata Gabung di akhir nama. Aturan Sinkronisasi tanpa aturan gabungan yang ditentukan menerapkan alur atribut saat Aturan Sinkronisasi lain bergabung dengan objek bersama-sama atau menyediakan objek baru di target.
Jika Anda melihat gambar di atas, Anda bisa melihat bahwa aturan tersebut mencoba bergabung dengan objectSID dengan msExchMasterAccountSid (Exchange) dan msRTCSIP-OriginatorSid (Lync), itulah yang kami harapkan dalam topologi forest sumber daya akun. Anda menemukan aturan yang sama pada semua forest. Asumsinya adalah bahwa setiap forest bisa menjadi forest akun atau sumber daya. Konfigurasi ini juga berfungsi jika Anda memiliki akun yang tinggal di satu forest dan tidak harus bergabung.
Transformasi
Bagian transformasi menentukan semua alur atribut yang berlaku untuk objek target saat objek digabungkan dan filter cakupan terpenuhi. Kembali ke Aturan Sinkronisasi Masuk dari AD – AccountEnabled Pengguna, Anda akan menemukan transformasi berikut:
Untuk menempatkan konfigurasi ini dalam konteks, dalam penyebaran forest Akun-Sumber daya, diharapkan menemukan akun yang diaktifkan di forest akun dan akun yang dinonaktifkan di forest sumber daya dengan pengaturan Exchange dan Lync. Aturan Sinkronisasi yang Anda lihat berisi atribut yang diperlukan untuk masuk dan atribut ini harus mengalir dari forest tempat ada akun yang diaktifkan. Semua alur atribut ini digabungkan dalam satu Aturan Sinkronisasi.
Transformasi dapat memiliki jenis yang berbeda: Konstanta, Langsung, dan Ekspresi.
- Aliran konstanta selalu mengalirkan nilai yang dikodekan secara permanen. Dalam kasus di atas, selalu menetapkan nilai True dalam atribut metaverse bernama accountEnabled.
- Aliran langsung selalu mengalirkan nilai atribut dalam sumber ke atribut target apa adanya.
- Jenis aliran ketiga adalah Ekspresi dan memungkinkan konfigurasi yang lebih canggih.
Bahasa ekspresinya adalah VBA (Visual Basic for Applications), sehingga orang dengan pengalaman Microsoft Office atau VBScript akan mengenali format tersebut. Atribut diapit dalam tanda kurung, [attributeName]. Nama atribut dan nama fungsi bersifat peka huruf besar/kecil, tetapi Editor Aturan Sinkronisasi mengevaluasi ekspresi dan memberikan peringatan jika ekspresi tidak valid. Semua ekspresi diekspresikan pada satu baris dengan fungsi bertumpuk. Untuk memperlihatkan kekuatan bahasa konfigurasi, berikut ini alur untuk pwdLastSet, tetapi dengan komentar tambahan yang disisipkan:
// If-then-else
IIF(
// (The evaluation for IIF) Is the attribute pwdLastSet present in AD?
IsPresent([pwdLastSet]),
// (The True part of IIF) If it is, then from right to left, convert the AD time format to a .NET datetime, change it to the time format used by Azure AD, and finally convert it to a string.
CStr(FormatDateTime(DateFromNum([pwdLastSet]),"yyyyMMddHHmmss.0Z")),
// (The False part of IIF) Nothing to contribute
NULL
)
Lihat Memahami Ekspresi Penyediaan Deklaratif untuk informasi selengkapnya tentang bahasa ekspresi untuk alur atribut.
Prioritas
Anda sekarang telah melihat beberapa Aturan Sinkronisasi individu, tetapi aturan tersebut bekerja sama dalam konfigurasi. Dalam beberapa kasus, nilai atribut dikontribusikan dari beberapa aturan sinkronisasi ke atribut target yang sama. Dalam hal ini, atribut yang diutamakan digunakan untuk menentukan atribut mana yang menang. Sebagai contoh, lihat atribut sourceAnchor. Atribut ini adalah atribut penting untuk dapat masuk ke ID Microsoft Entra. Anda dapat menemukan alur atribut untuk atribut ini dalam dua Aturan Sinkronisasi yang berbeda, Masuk dari AD – Pengguna AccountEnabled dan Masuk dari AD – Pengguna Umum. Karena Aturan Sinkronisasi diutamakan, atribut sourceAnchor dikontribusikan dari forest dengan akun yang diaktifkan terlebih dahulu saat ada beberapa objek yang bergabung ke objek metaverse. Jika tidak ada akun yang diaktifkan, maka mesin sinkronisasi menggunakan Aturan Sinkronisasi catch-all Masuk dari AD - Pengguna Umum. Konfigurasi ini memastikan bahwa bahkan untuk akun yang dinonaktifkan, masih ada sourceAnchor.
Prioritas untuk Aturan Sinkronisasi diatur dalam grup oleh wizard instalasi. Semua aturan dalam grup memiliki nama yang sama, tetapi terhubung ke direktori yang terhubung yang berbeda. Wizard instalasi memberikan aturan Masuk dari AD – Gabungan Pengguna dengan prioritas tertinggi dan iterasi atas semua direktori AD yang terhubung. Kemudian berlanjut dengan kelompok aturan berikutnya dalam urutan yang telah ditentukan. Di dalam grup, aturan ditambahkan dalam urutan Konektor ditambahkan dalam wizard. Jika Konektor lain ditambahkan melalui wizard, Aturan Sinkronisasi disusun ulang dan aturan Konektor baru disisipkan terakhir di setiap grup.
Merangkum semuanya
Kami sekarang cukup tahu tentang Aturan Sinkronisasi untuk dapat memahami cara kerja konfigurasi dengan Aturan Sinkronisasi yang berbeda. Jika Anda melihat pengguna dan atribut yang berkontribusi pada metaverse, aturan diterapkan dalam urutan berikut:
| Nama | Komentar |
|---|---|
| Masuk dari AD – Gabungan Pengguna | Aturan untuk bergabung dengan objek ruang konektor dengan metaverse. |
| Masuk dari AD – UserAccount Diaktifkan | Atribut yang diperlukan untuk masuk ke MICROSOFT Entra ID dan Microsoft 365. Kami ingin atribut ini dari akun yang diaktifkan. |
| Masuk dari AD – Pengguna Umum dari Exchange | Atribut yang ditemukan dalam Daftar Alamat Global. Kami menganggap kualitas data adalah yang terbaik di forest di mana kami telah menemukan kotak surat pengguna. |
| Masuk Dari AD – Pengguna Umum | Atribut yang ditemukan dalam Daftar Alamat Global. Jika kami tidak menemukan kotak surat, objek lain yang bergabung dapat berkontribusi pada nilai atribut. |
| Masuk dari AD – Exchange Pengguna | Hanya ada jika Exchange telah terdeteksi. Ini mengalirkan semua atribut Exchange infrastruktur. |
| Masuk dari AD – Pengguna Lync | Hanya ada jika Lync telah terdeteksi. Ini mengalirkan semua atribut Lync infrastruktur. |
Langkah berikutnya
- Baca selengkapnya tentang model konfigurasi dalam Memahami Provisi Deklaratif.
- Baca selengkapnya tentang bahasa ekspresi dalam Memahami Ekspresi Penyediaan Deklaratif.
- Lanjutkan membaca cara kerja konfigurasi di luar kotak dalam Memahami Pengguna dan Kontak
- Lihat cara membuat perubahan praktis menggunakan penyediaan deklaratif dalam Cara membuat perubahan pada konfigurasi default.
Topik ringkasan